Chrome

Chrome utilitza DPAPI para encritar los datos sensibles como contraseñas, cookies, etc.

La última versión de Chrome, no encripta directamante usando DPAPI. En cambio, usa DPAPI para cifrar la clave maestra, que en realidad, cifra los datos confidenciales.

Chrome < v79

Los datos sensibles (contraseñas, cookies, etc.,) los encripta con la función de Windows DPAPI CryptProtectData().

En cambio, los desencripta con la función de Windows DPAPI CryptUnProtectData(). Debe ser la misma cuenta y datos específicos de la máquina.

Chrome > v80

• La clave maestra se basa en:

  • 32 bytes aleatorios

  • La clave maestra se usa para encriptar los datos del login.

• Los datos del login se encriptan con el algoritmo AES-256-GCM

  • 32 byte la clave maestra

  • 12 bytes aleatorios IV data

• La clave maestra es encriptada con la función de Windows DPAPI CryptProtectData().

Chrome - Almacenamiento de credenciales

• Datos de inicio de sessión:

%localappdata%/Google/Chrome/User Data/Default/Login Data

• Cookies:

%localappdata%/Google/Chrome/User Data/Default/Network/Cookies

• Claves Maestras:

%localappdata%/Google/Chrome/User Data/Local State

Chrome - Clave maestra

Clave maestra encriptada usando DPAPI

Chrome - Login data

Chrome - Desencriptar con Mimikatz

./mimikatz.exe dpapi::chrome /in:"C:\Users\<usuario>\AppData\Local\Google\Chrome\User Data\Default\Login Data" /unprotect